远程办公、海外 SaaS、跨境协同，几乎每家涉外企业都要面对访问境外网络的现实需求。问题的答案近两年更清晰了：一方面，修改后的《网络安全法》自2026年1月1日起施行，违法成本显著提高；另一方面，监管口径长期明确——外贸企业、跨国企业因办公自用需要跨境联网的，可以向依法设置国际通信出入口局的电信业务经营者租用。本文以截至2026年9月下旬的规则与公开案例为基础，厘清合法路径与边界。
一、先把两个问题分开：信道合规不等于数据合规
企业最容易混淆的，是把“联网通道”与“数据出境”当成一件事。前者解决通过什么信道访问境外网络，依据《计算机信息网络国际联网管理暂行规定》《电信条例》与工信部规范性文件；后者解决数据能否出境、以何种方式出境，依据则是《数据安全法》《个人信息保护法》《网络数据安全管理条例》及配套规则。
两者不能互相替代。向基础电信企业租用合规专线，只说明管道合法，不等于通过该管道传出的个人信息、重要数据已履行出境安全评估、标准合同备案或个人信息保护认证；数据出境手续齐备，也不能治愈使用未经批准信道的违法性。分开评估、分别留痕，是合规设计的基本动作。
二、国内法下的三条红线
第一条是国际出入口信道专营。《计算机信息网络国际联网管理暂行规定》第六条要求，进行国际联网必须使用国家公用电信网提供的国际出入口信道，任何单位和个人不得自行建立或使用其他信道；第十四条对违反第六条、第八条、第十条的，设定责令停止联网、警告，可以并处一万五千元以下罚款并没收违法所得。该规定已于2024年3月第二次修订、2024年5月1日起施行。《国际通信出入口局管理办法》（原信息产业部令第22号，2002年10月1日施行）第五条另明确，国际通信出入口应由国有独资的电信业务经营者申请设置，未经批准不得设置。
第二条是不得擅自开展跨境经营活动。工信部《关于清理规范互联网网络接入服务市场的通知》（工信部信管函〔2017〕32号）明确，未经电信主管部门批准，不得自行建立或租用专线（含 VPN）等其他信道开展跨境经营活动；基础电信企业出租国际专线的，应集中建立用户档案，明确使用用途仅供其内部办公专用，不得用于连接境内外数据中心或业务平台开展电信业务经营。答记者问同时说明：规范对象是无资质而私自开展跨境经营者，外贸企业、跨国企业因办公自用需要跨境联网的，可以向依法设置国际通信出入口局的电信业务经营者租用。“自用可租用、经营须许可”这一分界，是企业判断自身行为性质的核心标尺。
第三条是经营性 VPN 须取得许可。按《电信业务分类目录》，国内互联网虚拟专用网业务（B13）属于第一类增值电信业务，对外提供 VPN 服务应当取得相应经营许可；仅为内部办公自用、不对外提供服务的，无需申领该许可，但仍须遵守网络安全规定。
三、2025—2026年的立法与执法变化
立法层面最重要的一处，是《网络安全法》的修改。2025年10月28日，十四届全国人大常委会第十八次会议表决通过关于修改网络安全法的决定，自2026年1月1日起施行。本次修改重点强化法律责任，新增第二十条人工智能安全与发展的框架性规定，扩大域外适用情形，并将关键信息基础设施运营者罚款上限由一百万元提高到一千万元。
配套规则同步更新。《国家网络安全事件报告管理办法》（国家互联网信息办公室，2025年9月11日发布、11月1日起施行）要求网络运营者按《网络安全事件分级指南》研判，属较大以上事件的须在时限内报告：涉及关键信息基础设施的最迟不超过1小时，其他网络运营者向属地省级网信部门报告最迟不超过4小时。《个人信息出境认证办法》（国家网信办、市场监管总局令第20号，2025年10月14日公布、2026年1月1日起施行）为非关键信息基础设施运营者提供了第三条出境路径。此外，2024年7月10日工信部批复在南宁、青岛、昆明、海口设立共6个国际通信业务出入口局，系1994年我国全功能接入国际互联网以来首次在北上广之外增设，企业可就近选用。
公开执法显示查处并不限于自然人，但公开的行政处罚决定书以个人使用类居多。2026年3月11日鄂州市公安局梁子湖区分局的一份决定书记载：违法行为人在家中通过“Clash”软件进行国际联网、浏览并使用境外社交应用，行政机关依上述暂行规定第六条、第十四条处以警告并处罚款二百元，并责令停止联网。单位同样在射程之内——《计算机信息网络国际联网安全保护管理办法》第二十条区分档次，对个人可并处五千元以下罚款、对单位可并处一万五千元以下罚款，情节严重的并可给予六个月以内停止联网或停机整顿。对企业而言，真正的成本往往不在罚款金额，而在业务中断，以及对资质、招投标与合规评级的影响。
四、境外法域：不能照搬境内做法
出海企业常犯的错误，是把境内做法套用到境外。欧盟、美国、日本、新加坡等对 VPN 基本不作限制，但数据本地化与跨境规则另行适用；俄罗斯自2025年9月1日起施行《行政违法法典》第13.53条，处罚的是明知地搜索并访问联邦极端主义材料清单所列内容，VPN 只是条文列举的实现方式之一，对个人罚款3000至5000卢布，将 VPN 作为规避工具宣传的，对法人可处20万至50万卢布罚款；阿联酋依2021年第34号联邦法令（2022年1月2日施行），为实施或隐匿犯罪而规避网络地址的，可处监禁及50万至200万迪拉姆罚金；依印度 CERT-In 2022年4月28日发布、6月28日生效的指令，VPN、云服务与数据中心提供者须将 ICT 系统日志在印度境内留存180天，并将订户姓名、租期、所分配 IP、注册邮箱与时间戳等登记信息保存五年，多家国际服务商因此撤出印度服务器。此外，阿曼要求 VPN 使用取得电信监管局许可，巴基斯坦要求企业 VPN 向电信管理局登记，土耳其则长期屏蔽多家服务商。设立境外机构前宜逐国确认当地口径，并写入当地员工网络使用制度。
五、企业合规清单
一是渠道合规。跨境联网线路只向中国电信、中国移动、中国联通等依法设置国际通信出入口局的基础电信企业或其授权代理租用，索取并留存线路来源与授权证明。二是用途合规。严格限定于内部办公自用，不转借、转售或共享给其他企业，不用于连接境内外数据中心或业务平台开展电信业务经营。三是避免经营性风险。对外提供 VPN 服务须取得相应电信业务许可，否则可能触及非法经营的刑事风险。四是数据出境单独评估。区分个人信息、敏感个人信息与重要数据，按规模与性质选择出境安全评估、标准合同备案或个人信息保护认证，并完成告知、单独同意与影响评估。五是内容与日志管理、六是事件应急、七是境外同步合规，按当地逐一核查 VPN 合法性与日志留存要求。
六、结语
企业跨境联网的合规判断可归结为一句话：信道要合法、用途要自用、数据要单独出境、境外要另算。规制的对象是未经批准的信道与经营性使用，而非正常的国际业务往来。对当事人而言，把这四条边界在立项阶段落到合同、制度与记录上，成本远低于事后应对责令停止联网与声誉损失；对律师同行而言，核查顺序宜为“服务主体—线路来源—实际用途—数据出境”，并区分行政与刑事责任的触发条件。
